Como obter um certificado SSL gratuito

Para que serve um certificado SSL

Em rigor, as ligações atuais usam TLS, o sucessor do SSL, mas toda a gente continua a dizer "certificado SSL". Um certificado faz duas coisas:

• Cifragem: palavras-passe, formulários e pagamentos circulam cifrados, por isso ninguém na rede os consegue ler ou alterar.
• Identidade: uma autoridade de certificação (CA) verificou que quem pediu o certificado controla o domínio.

Os certificados gratuitos são de validação de domínio (DV): a CA verifica que controla o domínio e nada mais. A cifragem é exatamente tão forte como a de um certificado pago. Os certificados OV e EV pagos acrescentam verificações sobre a organização por trás do site, algo que algumas empresas pretendem, mas os browsers mostram o mesmo cadeado para todos.

As opções gratuitas comparadas

Todos cifram igualmente bem. A diferença está na forma como são emitidos e renovados, e isso conta cada vez mais todos os anos.

Porque é que a renovação automática importa

Em todo o setor, os certificados têm uma validade cada vez mais curta. Segundo as regras do CA/Browser Forum, um certificado público pode durar no máximo 200 dias desde março de 2026, 100 dias a partir de março de 2027 e 47 dias a partir de março de 2029.

Atualmente, os certificados da Let's Encrypt duram 90 dias. Os seus certificados predefinidos passam a 64 dias em fevereiro de 2027 e a 45 dias em fevereiro de 2028. A Let's Encrypt também deixou de enviar emails de aviso de expiração em 2025, por isso ninguém o vai avisar antes de um certificado expirar.

A lição prática: nunca renove certificados à mão. Use algo que os renove sozinho, como o AutoSSL no cPanel ou o Certbot num VPS, e confirme de vez em quando que está a funcionar.

Em alojamento partilhado: AutoSSL no cPanel

Num alojamento com cPanel, normalmente não há nada a fazer. O AutoSSL pede um certificado Let's Encrypt para cada domínio da conta que aponta para o servidor, instala-o e renova-o antes de expirar.

1. Aponte o seu domínio para o alojamento: defina os nameservers ou o registo A que o seu fornecedor lhe deu e aguarde que o DNS atualize.
2. No cPanel, abra Security → SSL/TLS Status. Cada domínio mostra se está coberto, prestes a expirar ou com um problema no AutoSSL.
3. Se um domínio ainda não estiver coberto, clique em Run AutoSSL. Só funciona depois de o domínio resolver para o servidor.
4. Abra o seu site com https:// e confirme o cadeado. No WordPress, defina também o endereço do site como https://.

No alojamento web da HytHost, o AutoSSL com Let's Encrypt está ativo em todos os planos e cobre cada domínio e subdomínio que adicionar, assim que apontar para o servidor. O que mais o cPanel faz está em o que é o cPanel.

Num VPS: Certbot com nginx

No seu próprio servidor, o Certbot da EFF obtém certificados Let's Encrypt e renova-os. O método oficial no Ubuntu usa o pacote snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Confirme que o registo A do seu domínio aponta para o VPS, que o nginx tem um server_name para ele e que as portas 80 e 443 estão abertas na firewall. Depois execute:

sudo certbot --nginx -d example.com -d www.example.com

O Certbot prova que controla o domínio, instala o certificado na configuração do nginx e pode redirecionar HTTP para HTTPS. Também instala um temporizador que renova os certificados automaticamente. Teste a renovação uma vez:

sudo certbot renew --dry-run

Atrás da Cloudflare

Se o seu domínio passa pela Cloudflare com a nuvem laranja ativa, os visitantes ligam-se à Cloudflare, que lhes apresenta o seu certificado gratuito Universal SSL. Isso cobre apenas metade do caminho: a Cloudflare continua a ligar-se ao seu servidor.

• Defina o modo SSL/TLS como Full (strict). Assim, a Cloudflare exige um certificado válido no seu servidor, e todo o percurso fica cifrado e verificado.
• Dê um certificado ao seu servidor: serve a Let's Encrypt através do AutoSSL ou do Certbot, ou um certificado gratuito Cloudflare Origin CA. Um certificado Origin CA só é reconhecido pela Cloudflare, por isso os visitantes veem erros se algum dia desligar o proxy.
• Evite o modo Flexible. Deixa a ligação ao seu servidor sem cifragem e causa muitas vezes ciclos de redirecionamento.

Problemas comuns de SSL e como os resolver

• O certificado não é emitido: o domínio ainda não aponta para o servidor, ou o DNS ainda tem o endereço antigo em cache. Verifique o registo A e aguarde.
• Um registo CAA bloqueia a emissão: se o seu DNS tiver registos CAA, estes têm de permitir a CA que usa, por exemplo 0 issue "letsencrypt.org".
• A validação falha num VPS: por predefinição, a Let's Encrypt verifica através da porta 80, por isso mantenha a porta 80 aberta mesmo que o site redirecione para HTTPS.
• "Não seguro" apesar do certificado: a página carrega imagens ou scripts por http:// (conteúdo misto). Altere essas ligações para https://.
• Um certificado wildcard: *.example.com exige validação por DNS, por isso só funciona com um plugin ou fornecedor de DNS que consiga criar o registo de verificação.
• O certificado expirou: a renovação automática deixou de funcionar. Verifique a página SSL/TLS Status no cPanel, ou execute certbot renew --dry-run no VPS e leia o erro.